ニューヨーク東部地区の連邦大陪審は、ランサムウェア・インシデント対応を専門とするMonsterCloudの所有者、Zohar Pinhasiを、暗号化されたデータの復旧を試みていた顧客を欺いたとして起訴した。Pinhasiは出頭後、ブルックリンの連邦裁判所に出廷し、無罪を主張した。その後、保釈金200万ドルで釈放された。
この事件では、通信詐欺2件と通信詐欺共謀1件が問われており、検察はこの計画が2018年6月から2023年6月まで続いたとしている。有罪となった場合、最高20年の禁錮刑を受ける可能性がある。
検察は何を主張しているのか？
起訴状によると、MonsterCloudはランサムウェア運営者に金銭を支払わずにファイルを復旧するための独自の復号ツールや技術を売り込んでいた。しかし検察側は、Pinhasiとその協力者たちは公表していた技術を保有しておらず、通常はマルウェア運営者と連絡を取り、復号鍵と引き換えに金銭を支払い、その鍵を顧客のファイル復旧に使用していたと主張している。
起訴状によれば、同社の一部の契約書では、攻撃者に連絡したり金銭を支払ったりする可能性が開示されていた。ただし、その選択肢は、他の手段でファイルを復号できない場合に利用すると記載されていた。これに対し検察側は、攻撃者との交渉が、鍵を入手するための最初の手段となることが多かったと主張している。
当局によると、同社は復号済みのサンプルファイルを「復旧の証明」として使い、データを復旧できる能力があると被害者を納得させていた。しかし主張されているところでは、これらのファイルはランサムウェア運営者の協力によって復号されたものだった。
身代金とサービス料金の大きな差
起訴状には、MonsterCloudが攻撃者に支払った金額と顧客に請求した金額の差を示す例が含まれている。あるケースでは、同社がランサムウェア集団に約8,200ドルを支払い、その後、被害者に約15万ドルを請求したとされている。別のケースでは、検察によると、同社は約23万6,000ドルを支払い、顧客には約38万ドルを請求した。
当局によると、申し立てられた計画全体を通じて、Pinhasiとその協力者たちは800万ドル超の身代金の支払いを仲介し、一方で米国とカナダの数百社に対し、復旧および対応サービスの対価として1900万ドル超を請求した。
なぜこのニュースが重要なのか？
この事件の重要性は、データ復旧方法を隠していたとされる企業への起訴にとどまらない。ランサムウェア攻撃後に組織が下す、重要な判断にも関わる。すなわち、攻撃者に直接支払うのか、それとも技術的な代替手段を持つと主張する仲介業者を利用するのかという判断だ。起訴内容が立証されれば、支払いを隠すことによって、顧客は攻撃者への資金提供に伴う法的、セキュリティ上、倫理上のリスクを評価できなくなる。また、「復旧能力の証明」だけでは、解決策の実態を判断するのに不十分であることも示す。
この事件は、ProPublicaが2019年に行った調査で提起された懸念も改めて浮上させている。同調査は、MonsterCloudがランサムウェア運営者に金銭を支払ったにもかかわらず、サービスを別の解決策として提供していた事例を取り上げた。当時、ProPublicaはセキュリティ研究者Fabian Wosarの話として、研究者らが偽のランサムウェアを使ってデータ復旧企業をテストしたところ、身代金の支払いを申し出る匿名のメッセージを受け取り、そのメッセージの送信元をMonsterCloudやProven Dataを含むデータ復旧企業まで追跡できたと報じた。
Pinhasiはこの調査で、MonsterCloudが顧客を誤解させたり、事前に復号を約束したりしたことを否定し、復旧方法はケースごとに異なり、「企業秘密」であるため明らかにできないと述べた。BleepingComputerは弁護人のChristopher ClarkとRodney Villazorに起訴内容についてコメントを求めたが、記事には両者から回答を受け取ったことを示す記載はなかった。